WhatsApp ist eine vielgebrauchte App om Berichte zu versenden. Obwohl die WhatsApp-Berichte mehr oder weniger auf vergleichbare Weise arbeiten wie SMS-Berichte, sind WhatsApp-Berichte doch anders als SMS-Berichte. Dies gilt sicherlich für die Weise wie sie auf mobilen Telefonen gespeichert werden können. Gelöschte WhatsApp-Berichte können in vielen Fällen wiederhergestellt werden. Gelöschte WhatsApp-Berichten können wiederhergestellt werden soabld man eine Kopie der Daten aus dem Telefon erstellen kann. Diese Kopie kann anschließend untersucht werden. Ein iTunes- oder iCloud-Backup kann oft viel Informationen liefern, doch am Besten ist es eine Kopie vom Telefon selbst zu erstellen. Digirec hat spezialistische Apparatur um Telefondaten zu ermitteln und um, unter anderem, gelöschte WhatsApp-Berichte einsehen zu können.

iphone5-whatsapp
Encase Suchtermen um WhatsApp-Daten in einem iPhone zu finden:
#{4,12}-#{1,5}..[^@]{1,255}@s.whatsapp.net
#{11,11}@s.whatsapp.net.[^x01][^x7f-xff]{1,255}

‘Grep’ muss natürlich eingeschaltet werden!

Obenstehende Schlüsselwörter (Keywords) können einander überlappen, geben aber eine große Chance um die meisten Teile von WhatsApp-Berichten zu finden. Wegen der Einschränkung von Suchbegriffen in Encase, werden Berichttexte bis maximal 255 Zeichen wiedergegeben. Berichte, die länger sind, werden durch diese Suchbegriffe dann auch nur teilweise wiedergegeben.